Self hosted Vaultwarden και Cloudflare tunnel

[kirileman]

Έχω εγκαταστήσει στον homeserver Vaultwarden (και Nextcloud μαζί με διάφορα άλλα). Αρχικά συνδεόμουν απομακρυσμένα ανοίγοντας στην εκάστοτε συσκευή το Wireguard. Αμέσως το Bitwarden συγχρόνιζε, οπότε είχα πρόσβαση στους κωδικούς μου, μπορούσα να προσθέτω καινούριους, να κάνω edit κλπ και όλα αυτά με μια μεγάλη αίσθηση ασφάλειας. Αλλά έχει ορισμένα μειονεκτήματα αυτή η προσέγγιση, όπως το ότι αν έχω συνέχεια ανοικτό το Wireguard VPN, έχω downolad ίσο με το upload του σπιτιού μου (για την ώρα 20 Mbps). Αν δε το θέλω αυτό, τότε πρέπει να ανοίγω το VPN, να συγχρονίζει το Bitwarden και μετά να το κλείνω, το Bitwarden συνεχίζει να δουλεύει κανονικά μέχρι να κλείσεις τον browser (χωρίς να μπορείς να κάνεις αλλαγές σε κωδικούς, εννοείται). Διαφορετικά, αν δεν ανοίξω καθόλου VPN, το Bitwarden καθυστερεί μισό λεπτό να δείξει τους αποθηκευμένους κωδικούς (σπαστικό bug). Οπότε η καλύτερη λύση μέχρι στιγμής είναι να ανοίγω VPN, να συγχρονίζει το Bitwarden και μετά να το κλείνω. Το ίδιο και για το Nextcloud (δεν το χρησιμοποιώ ακόμα εντατικά, είμαι σε φάση δοκιμής για να δω αν με βολεύει και αν τελικά θα αντικαταστήσω το Onedrive με αυτό).

Χθες έστησα Cloudflare tunnel. Με αυτή τη μέθοδο δεν υπάρχουν τα παραπάνω προβλήματα. Έχω βάλει στη διεύθυνση του Bitwarden το πχ vault.kirilemanlab.com και είναι συνέχεια συνδεδεμένο, ούτε VPN χρειάζομαι, ούτε τίποτα. Το ίδιο και στο Nextcloud. Πολύ βολικό. Αλλά τώρα φοβάμαι ότι δεν είναι και πολύ ασφαλές όλο αυτό. Έψαξα λίγο το Authentication του Cloudflare, δημιουργώ κανόνες, βάζω πχ χώρα μόνο Ελλάδα, αλλά μετά δε λειτουργεί το Bitwarden app. Δεν έχω εμπειρία με το Cloudflare. Έχει ασχοληθεί κανείς με κάτι αντίστοιχο; Πόσο ασφαλές είναι και τι μπορώ να κάνω για αυξήσω την ασφάλεια των apps (Bitwarden βασικά και Nextcloud δευτερευόντως) και να δουλεύουν, φυσικά, όπως πρέπει;

(Αν δεν ταιριάζει εδώ, ας μεταφερθεί)

Επεξ/σία 1 Σεπτεμβρίου 2024 από kirileman

[Xdanger]

Αφού έχεις homeserver, γιατί δεν κάνεις portforward στο router πάνω σε έναν reverse proxy που θα κοιτάει τα services που θέλεις να βλέπεις εκτός σπιτιού? Αν βάλεις ssl και έναν δυνατό κωδικό δεν νομίζω να έχεις θέμα ασφαλείας. 

Μετά υπάρχει και το mTLS αλλά θα πρέπει να το υποστηρίζει η εφαρμογή και στον client και στον server

[kirileman]

4 hours ago, Xdanger said:

Αφού έχεις homeserver, γιατί δεν κάνεις portforward στο router πάνω σε έναν reverse proxy που θα κοιτάει τα services που θέλεις να βλέπεις εκτός σπιτιού? Αν βάλεις ssl και έναν δυνατό κωδικό δεν νομίζω να έχεις θέμα ασφαλείας. 

Μετά υπάρχει και το mTLS αλλά θα πρέπει να το υποστηρίζει η εφαρμογή και στον client και στον server

Οκ, θα το δω και αυτό. SSL και δυνατό κωδικό με 2FA έχω έτσι και αλλιώς και τώρα, τόσο στο Nextcloud, όσο και στο Bitwarden.

Επεξ/σία 2 Σεπτεμβρίου 2024 από kirileman

[comfuzio]

Και εγώ το είχα selfhosted σε docker compose (portainer) αλλά όταν είδα ότι ζητάει 10€ το χρόνο για να μην έχω το hosting εγώ, πήρα το premium από εκεί και δεν ασχολήθηκα ξανά.
Πάντως αν έχεις όρεξη μπορείς να κάνεις ένα vm με docker compose και να του περάσεις nginx npm για reverse proxy και να κάνεις κανόνες για το τι θα αφήνει να περάσει ή όχι βάση IP ή με password